Internet & Webdienste

31.10.2005 21:20

Gravierende Sicherheitslücken in PHP-Sprache

Stefan Esser hat in diesen Tagen mehrere gravierende Sicherheitslücken in der Scriptsprache PHP entdeckt. Durch einen Dateiupload könne ein Cracker beliebigen PHP-Code auf dem entsprechenden System ausführen und so böswillige Vorgänge ungehindert vollziehen.

Hervorgerufen kann dies durch Seiten, die auf der PHP-Funktionsbibliothek PEAR oder der Boardsoftware vBulletin basieren. Weitere Sicherheitslücken könnten unter Umständen dazu führen, HTML-Code einzuschleusen, der das Auslesen von Domain-Cookies veranlassen könnte. Allerdings wird die dafür zuständige Funktion in aller Regel nur in Testumgebungen eingesetzt.

Die dritte Schwachstelle wird ebenfalls als eher unkritisch gesehen und könnte gegebenfalls den PHP-Kern in einen Ausgangszustand versetzen. Betroffen sind ausnahmslos alle Versionen der Sprache. Nutzern von PHP4 wird empfohlen, auf die neue, nicht anfällige Version 4.4.1 umzusteigen. Für PHP5 steht momentan noch kein Update bereit.

Nähere Informationen: Mehrere Sicherheitslücken in PHP

Valentin Hauner

Weitere Nachrichten zum Thema

Nachricht versenden
Kommentieren
Hinweis einsenden

Diese Nachricht empfehlen:

[o1] am

Na Super, als wenn wir nicht schon genügend Sicherheitslücken hätten. Trotzdem gut, das sie einer findet und veröffentlicht!

[o2] am

(-1)

Die Lücke in phpinfo() ist mittlerweile drei Jahre alt.

[o3] am

(+1)

"Betroffen sind ausnahmslos alle Versionen der Sprache" und "wird empfohlen auf die ... nicht anfällige Version 4.4.1 umzusteigen" Das sind zwei Aussagen in aufeinanderfolgenden Sätzen, die nicht beide zur gleichen Zeit wahr sein können. Und wo ich gerade beim Haarspalten bin. Eine Sprache kann nicht "sicher" sein, zumindest kenne ich keine Definition einer "sicheren Sprache". Vielleicht bastelt ihr den Artikel diesbezüglich um und sagt einfach allgem. "PHP" dazu, dann ist es Wurst, ob ihr die (Script-)Sprache meint, oder den Interpreter, z.B. in Version 4.4.1.

[re:1] am

@yagee: Du hast anscheinend das "neue (!), nicht anfällige" übersehen. Betroffen sind alle Versionen. Nur die Version, die nach dem Entdecken der Lücken herausgegeben wurde, ist nicht anfällig. Und davon, dass PHP "sicher" oder Ähnliches ist, war in dieser News nie die Rede.

Bearbeitet am 01.11.05 um 09:36 Uhr.

[re:2] am

@Hauner: Ich glaube er meinte eher, dass die Sätze "Betroffen sind ausnahmslos alle Versionen der Sprache" und "wird empfohlen auf die ... nicht anfällige Version 4.4.1 umzusteigen" sich widersprechen und das tun sie auch.

Alle Kommentare zu dieser News anzeigen

Schreiben Sie uns Ihre Meinung, bewerten Sie Kommentare oder diskutieren Sie mit anderen WinFuture.de Lesern!

Melden Sie sich jetzt kostenlos an

oder verwenden Sie Ihren bestehenden Zugang.

Benutzername oder Passwort vergessen?